aquasecurity/trivy

enhancement(cyclonedx): use `component.evidence.occurrences.location` for filapaths and linenumber

开放

#9,832 创建于 2025年11月20日

在 GitHub 查看贡献者指南
 (1 条评论) (1 个反应) (0 位负责人)Go (371 个派生)batch import
help wanted

仓库指标

星标
 (35,000 个星标)
PR 合并指标
 (平均合并 5天 2小时) (30 天内合并 53 个 PR)

描述

Description

In CycloneDX 1.5, the location and line fields were added under component.evidence.occurrences. These are fields we can use in Trivy:

  1. location can be used instead of property.filePath
  2. line can be used if Trivy supports detecting line numbers for that file

Example:

https://github.com/CycloneDX/cyclonedx-go/blob/72e4629d580624c7d6bd815e2d209a0a62d08047/testdata/valid-evidence.json#L74-L77

Discussed in https://github.com/aquasecurity/trivy/discussions/9823

贡献者指南

研究方向
研究 CycloneDX 1.5 的证据事件模式，定位 Trivy 当前使用 property.filePath 的位置。确定如何用 location 和 line 字段替换或补充，确保向后兼容。
技术栈
go
领域
securitycli
议题类型
功能
难度面向新贡献者的预计实现难度，1 表示很小改动，5 表示专家级工作。
3
预计时间有经验贡献者完成调查、实现、测试并准备 pull request 的粗略时间范围。
半天
活动状态议题当前的可参与程度：新鲜、活跃、陈旧、阻塞或等待维护者输入。
活跃
清晰度议题是否清楚说明期望改动、验收标准和下一步。
清晰
前置要求
GoCycloneDXSBOM
新手友好度1-100 的估计分数，表示该议题对首次贡献者的友好程度。
55